El déficit global de profesionales de ciberseguridad alcanzó los 4.8 millones de vacantes en 2026, un crecimiento del 19% en un solo año, mientras la fuerza laboral activa del sector tocó un récord de 5.5 millones de personas. La inteligencia artificial no está eliminando empleos, sino transformando los roles existentes, según Juan Carlos Carrillo, director de ONESEC.
La IA no reemplaza, transforma
En la última encuesta de ISC2 a profesionales que ya usan IA en su trabajo diario, apenas el 2% cree que la tecnología reemplazará por completo su rol. Lo que sí ocurre es una redistribución masiva de tareas: las actividades repetitivas, como revisar logs y clasificar alertas en el primer nivel del SOC, ahora son ejecutadas por flujos asistidos por IA, comprimiendo horas de trabajo en minutos.
El tiempo promedio de un ciberdelincuente desde el acceso inicial hasta comprometer un sistema bajó a 29 minutos, con un caso récord de 27 segundos. Ninguna defensa que razone a ritmo humano puede competir contra eso, por lo que la IA se vuelve indispensable para la velocidad de respuesta.
El valor humano se desplaza hacia arriba
Mientras la IA absorbe lo repetitivo, el valor humano se desplaza hacia la gobernanza, la gestión de riesgos, la validación de decisiones asistidas por IA y el análisis estratégico. Carrillo compara esta dinámica con un equipo de fútbol: la IA es el delantero estrella, veloz para resolver lo que tiene enfrente, pero incapaz de ganar el partido sola. El analista que supervisa, cuestiona y decide la estrategia es la defensa que sostiene el marcador.
El estudio de ISC2 confirma que las responsabilidades migran hacia tareas de supervisión y criterio humano. La IA ejecuta, pero los humanos supervisan, cuestionan y deciden.
Nacen nuevos roles
La creación de empleo se evidencia en puestos que hace tres años no existían: ingeniero de seguridad de IA/ML, que protege la integridad de los modelos; red teamer de IA, que ataca sistemas de inteligencia artificial para encontrar debilidades; y especialistas en gobernanza de IA, que traducen el riesgo algorítmico a lenguaje de negocio y cumplimiento.
Casi la mitad de las organizaciones (48%) ha creado nuevos roles derivados de la adopción de IA, mientras que solo el 18% reporta despidos relacionados con la tecnología. Los puestos más difíciles de cubrir a nivel global son los ingenieros de IA (39%) y los ingenieros de ciberseguridad (38%), prácticamente empatados en el primer lugar. Más del 64% de las vacantes de ciberseguridad ya exige competencias en IA, machine learning o automatización.
México: brecha dentro de la brecha
México es el segundo país más atacado de América Latina y enfrenta un déficit estimado de 25 mil especialistas en ciberseguridad. Además, el 48% de los CISOS reconocen tener poca o nula confianza para evaluar los riesgos asociados al uso de IA. Mientras las áreas de negocio despliegan copilotos y agentes autónomos, los equipos de seguridad avanzan a tientas.
La paradoja es que la tecnología que podría ayudar a compensar la escasez de talento requiere, para funcionar con seguridad, precisamente el talento que no se tiene.
Decisiones para líderes
Carrillo propone tres acciones para los líderes organizacionales. Primero, rediseñar la carrera del equipo, no solo la herramienta: si la IA absorbió el triage de nivel 1, el plan de desarrollo de los analistas junior no puede seguir siendo el de 2020. Segundo, definir rutas explícitas hacia roles de supervisión de IA, threat hunting y gobernanza, o se perderá al talento justo cuando más se necesita.
Tercero, contratar por habilidades, no por títulos. Los perfiles híbridos que combinan seguridad con IA no abundan en el mercado, sino que se construyen internamente. Los programas de upskilling y las alianzas con universidades dejaron de ser responsabilidad social para convertirse en estrategia de supervivencia.
Además, se debe exigir alfabetización en IA en toda la organización de seguridad, desde el analista hasta el CISO. Quien no pueda evaluar, validar y cuestionar una decisión tomada por un sistema de IA se convertirá en el eslabón más débil. La pregunta en las entrevistas de trabajo ya no será "¿sabes usar la herramienta?", sino "¿sabes cuándo la herramienta se equivoca?".
"La IA no vino a quitarle el empleo al profesional de ciberseguridad; llegó a quitárselo al profesional que se niegue a evolucionar", concluye Carrillo. Esa diferencia, dice, ninguna empresa ni ningún país con 25 mil vacantes sin cubrir puede darse el lujo de ignorar.
